VMware Carbon Black Cloud

Dokumen ini memberikan panduan bagi administrator tentang cara mengonfigurasi dan mengintegrasikan VMware Carbon Black Cloud dengan modul SOAR Google Security Operations.

Ringkasan

Integrasi VMware Carbon Black Cloud membantu Anda melakukan tugas-tugas berikut:

  • Menyerap peristiwa dan pemberitahuan VMware Carbon Black Cloud untuk membuat pemberitahuan.

    Google SecOps menggunakan pemberitahuan untuk melakukan orkestrasi dengan playbook atau analisis manual.

  • Melakukan tindakan pengayaan.

    Mendapatkan data dari VMware Carbon Black Cloud untuk memperkaya data dalam pemberitahuan Google SecOps.

  • Melakukan tindakan aktif.

    Menjadwalkan pemindaian dan mengarantina host di Google SecOps SOAR menggunakan agen VMware Carbon Black Cloud.

Integrasi ini menggunakan satu atau beberapa komponen open source. Anda dapat mendownload salinan kode sumber lengkap integrasi ini dari bucket Cloud Storage.

Prasyarat

Bagian ini berlaku untuk konfigurasi integrasi awal. Untuk memastikan bahwa data mengalir seperti yang diharapkan dari VMware Carbon Black Cloud ke Google SecOps, selesaikan langkah-langkah yang tercantum di bagian ini di VMware Carbon Black Cloud.

Untuk mengonfigurasi akses API untuk integrasi VMware Carbon Black Cloud, selesaikan langkah-langkah berikut:

  1. Konfigurasikan tingkat akses.
  2. Membuat Kunci API.

Integrasi ini memiliki batasan. Untuk mengetahui informasi selengkapnya tentang batasan, lihat Configure Reputation Override dalam dokumentasi VMware Carbon Black Cloud.

Mengonfigurasi tingkat akses

Untuk mengonfigurasi tingkat akses integrasi VMware Carbon Black Cloud, selesaikan langkah-langkah berikut:

  1. Di konsol VMware Carbon Black Cloud, buka Settings > API Access.

  2. Pilih Tingkat Akses.

  3. Klik Tambahkan Tingkat Akses.

  4. Berikan nama dan deskripsi untuk tingkat akses baru dan pilih izin berikut:

    Kategori Nama izin .Nama notasi Jenis izin
    Notifikasi Informasi umum org.alerts Baca
    Notifikasi Tutup org.alerts.dismiss Jalankan
    Perangkat Karantina device.quarantine Jalankan
    Perangkat Abaikan device.bypass Jalankan
    Perangkat Informasi umum device Baca
    Perangkat Penugasan polisi device.policy Perbarui
    Perangkat Pemindaian latar belakang device.bg-scan Jalankan
    Telusuri Acara org.search.events

    Buat

    Baca

  5. Klik Simpan.

Membuat kunci API

Untuk membuat kunci API untuk integrasi VMware Carbon Black Cloud, selesaikan langkah-langkah berikut:

  1. Di konsol VMware Carbon Black Cloud, buka Settings > API Access > API Keys.

  2. Klik Tambahkan Kunci API.

  3. Masukkan nama untuk kunci dan pilih tingkat akses yang Anda buat di bagian sebelumnya.

  4. Klik Save untuk mendapatkan pasangan kunci rahasia API dan ID API Anda.

    Simpan nilai kunci rahasia API Anda karena Anda tidak dapat mengambilnya nanti.

Mengintegrasikan VMware Carbon Black Cloud dengan Google SecOps

Untuk mengonfigurasi atau mengedit parameter integrasi, Anda harus disertakan dalam grup izin Administrator di Google SecOps. Untuk mengetahui detail selengkapnya tentang grup izin untuk pengguna, lihat Menggunakan grup izin.

Gunakan parameter berikut untuk mengonfigurasi integrasi:

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Nama Instance String Tidak berlaku Tidak Nama instance yang ingin Anda konfigurasi integrasinya.
Deskripsi String Tidak berlaku Tidak Deskripsi instance.
Root API String https://defense.conferdeploy.net/ Ya URL root VMware Carbon Black Cloud API.
Kunci Organisasi String Tidak berlaku Ya Kunci organisasi VMware Carbon Black Cloud.
ID API String Tidak berlaku Ya ID API VMware Carbon Black Cloud (ID kunci API kustom).
Kunci Rahasia API String Tidak berlaku Ya Kunci rahasia VMware Carbon Black Cloud API (kunci rahasia API kustom).
Verifikasi SSL Kotak centang Dipilih Tidak Jika dipilih, Google SecOps akan memverifikasi bahwa sertifikat SSL untuk koneksi ke server VMware Carbon Black Cloud valid.
Menjalankan dari Jarak Jauh Kotak centang Tidak dipilih Tidak Centang kotak untuk menjalankan integrasi yang dikonfigurasi dari jarak jauh. Setelah Anda mencentang kotak, opsi akan muncul untuk memilih pengguna jarak jauh (agen).

Untuk mendapatkan petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat mengubah konfigurasi pada tahap berikutnya, jika diperlukan. Setelah mengonfigurasi instance, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi mendetail tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Ping

Menguji konektivitas ke VMware Carbon Black Cloud.

Parameter

Tidak ada.

Kasus penggunaan

Tindakan ini menguji konektivitas saat dijalankan dari halaman konfigurasi integrasi di halaman Google SecOps Content Hub. Anda dapat menjalankan tindakan ini secara manual, tetapi Anda tidak dapat menggunakannya dalam playbook.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Hasil skrip Tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Pesan output

Di Repositori Kasus, tindakan Ping memberikan pesan output berikut:

Pesan output Deskripsi pesan
Successfully connected to the VMware Carbon Black Cloud server with the provided connection parameters! Tindakan berhasil.
Failed to connect to the VMware Carbon Black Cloud server! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Memperkaya Entity

Memperkaya entitas Host atau Alamat IP Google SecOps SOAR berdasarkan informasi perangkat dari VMware Carbon Black Cloud.

Tindakan ini berjalan di entity berikut:

  • Alamat IP
  • Host

Kasus penggunaan

Memperkaya entitas host atau IP Google SecOps SOAR dengan informasi dari VMware Carbon Black Cloud, jika agen Carbon Black diinstal pada alamat IP atau entitas host masing-masing.

Untuk membantu petugas respons insiden menyelidiki kemungkinan pemberitahuan malware dari host yang telah diinstal sensor, VMware Carbon Black Cloud dapat memberikan data pengayaan seperti informasi host, status sensor, dan kebijakan Carbon Black-nya.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tersedia
Hasil skrip Tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Pengayaan entity
Kolom pengayaan Penerapan
CB_Cloud.device_id Selalu
CB_Cloud.antivirus_status Selalu
CB_Cloud.antivirus_last_scan_time Jika informasi ditampilkan dalam hasil JSON
CB_Cloud.owner_email Jika informasi ditampilkan dalam hasil JSON
CB_Cloud.owner_first_name Jika informasi ditampilkan dalam hasil JSON
CB_Cloud.owner_last_name Jika informasi ditampilkan dalam hasil JSON
CB_Cloud.last_contact_time Selalu
CB_Cloud._last_device_policy_changed_time Jika informasi ditampilkan dalam hasil JSON
CB_Cloud.last_external_ip_address Selalu
CB_Cloud.last_internal_ip_address Selalu
CB_Cloud.last_location Selalu
CB_Cloud.full_device_name Selalu
CB_Cloud.organization_id Selalu
CB_Cloud.organization_name Selalu
CB_Cloud.device_os Jika informasi ditampilkan dalam hasil JSON
CB_Cloud.device_os_version Jika informasi ditampilkan dalam hasil JSON
CB_Cloud.passive_mode Selalu
CB_Cloud.device_policy_id Selalu
CB_Cloud.device_policy_name Selalu
CB_Cloud.device_policy_override Jika benar
CB_Cloud.quarantined Selalu
CB_Cloud.scan_status Jika informasi ditampilkan dalam hasil JSON
CB_Cloud.sensor_out_of_date Selalu
CB_Cloud.sensor_states Selalu
CB_Cloud.sensor_version Selalu
CB_Cloud.device_status Selalu
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Enrich Entities:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Enrich Entities:

{
    "results": [
      {
        "activation_code": null,
        "activation_code_expiry_time": "2020-04-28T05:05:37.391Z",
        "ad_group_id": 649,
        "av_ave_version": null,
        "av_engine": "",
        "av_last_scan_time": null,
        "av_master": false,
        "av_pack_version": null,
        "av_product_version": null,
        "av_status": [
          "AV_DEREGISTERED"
        ],
        "av_update_servers": null,
        "av_vdf_version": null,
        "current_sensor_policy_name": "vmware-example",
        "deregistered_time": "2020-04-21T07:31:22.285Z",
        "device_meta_data_item_list": [
          {
            "key_name": "OS_MAJOR_VERSION",
            "key_value": "Windows 10",
            "position": 0
          },
          {
            "key_name": "SUBNET",
            "key_value": "10.0.2",
            "position": 0
          }
        ],
        "device_owner_id": 439953,
        "email": "User",
        "first_name": null,
        "id": 3401539,
        "last_contact_time": "2020-04-21T07:30:21.614Z",
        "last_device_policy_changed_time": "2020-04-21T05:05:57.518Z",
        "last_device_policy_requested_time": "2020-04-21T07:12:34.803Z",
        "last_external_ip_address": "198.51.100.209",
        "last_internal_ip_address": "203.0.113.15",
        "last_location": "OFFSITE",
        "last_name": null,
        "last_policy_updated_time": "2020-04-09T11:19:01.371Z",
        "last_reported_time": "2020-04-21T07:14:33.810Z",
        "last_reset_time": null,
        "last_shutdown_time": "2020-04-21T06:41:11.083Z",
        "linux_kernel_version": null,
        "login_user_name": null,
        "mac_address": "000000000000",
        "middle_name": null,
        "name": "<span class='hlt1'>WinDev2003Eval</span>",
        "organization_id": 1105,
        "organization_name": "cb-internal-alliances.com",
        "os": "WINDOWS",
        "os_version": "Windows 10 x64",
        "passive_mode": false,
        "policy_id": 36194,
        "policy_name": "vmware-example",
        "policy_override": false,
        "quarantined": false,
        "registered_time": "2020-04-21T05:05:37.407Z",
        "scan_last_action_time": null,
        "scan_last_complete_time": null,
        "scan_status": null,
        "sensor_kit_type": "WINDOWS",
        "sensor_out_of_date": false,
        "sensor_pending_update": false,
        "sensor_states": [
          "ACTIVE",
          "LIVE_RESPONSE_NOT_RUNNING",
          "LIVE_RESPONSE_NOT_KILLED",
          "LIVE_RESPONSE_ENABLED",
          "SECURITY_CENTER_OPTLN_DISABLED"
        ],
        "sensor_version": "3.4.0.1097",
        "status": "DEREGISTERED",
        "target_priority": "MEDIUM",
        "uninstall_code": "9EFCKADP",
        "vdi_base_device": null,
        "virtual_machine": false,
        "virtualization_provider": "UNKNOWN",
        "windows_platform": null
      }
    ],
    "num_found": 6
}
Pesan output

Di Case Wall, tindakan Enrich Entities memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully enriched entities: ENTITY_ID_LIST

No entities were enriched.

Action was not able to find VMware Carbon Black Cloud info to enrich the following entities: ENTITY_ID_LIST

Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST

 Tindakan berhasil.
Failed to execute Enrich Entities action! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Menutup Pemberitahuan VMware Carbon Black Cloud

Tutup pemberitahuan VMware Carbon Black Cloud.

Dalam peristiwa yang dibuat oleh VMware Carbon Black Cloud Alerts Connector, kolom Event.id dapat diteruskan sebagai placeholder untuk ID pemberitahuan guna menutup pemberitahuan dalam tindakan Dismiss VMware Carbon Black Cloud Alert.

Tindakan ini menerima ID pemberitahuan dalam format alfanumerik seperti 27162661199ea9a043c11ea9a29a93652bc09fd, bukan dalam format yang muncul di UI sebagai DONAELUN.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
ID pemberitahuan String Tidak berlaku Ya ID pemberitahuan yang akan ditutup di server VMware Carbon Black Cloud. Tentukan ID pemberitahuan dalam format alfanumerik seperti 27162661199ea9a043c11ea9a29a93652bc09fd, bukan dalam format yang muncul di UI sebagai DONAELUN.
Alasan penolakan DDL Tidak ada alasan penolakan Tidak Alasan VMware Carbon Black Cloud untuk menutup pemberitahuan. Nilainya dapat berupa:
  • Tidak ada alasan penolakan
  • Selesai
  • Terselesaikan - Jinak/Diketahui baik
  • Duplikat/Pembersihan
  • Lainnya
Penentuan DDL Tidak ada Tidak Nilai penentuan yang akan ditetapkan untuk pemberitahuan. Nilai yang memungkinkan adalah sebagai berikut:
  • Tidak ada
  • Positif benar
  • Positif palsu
Pesan untuk penutupan pemberitahuan String Tidak berlaku Tidak Pesan yang akan ditambahkan ke penutupan pemberitahuan.

Kasus penggunaan

Menutup atau mengabaikan pemberitahuan VMware Carbon Black Cloud berdasarkan analisis yang dilakukan di Google SecOps SOAR.

Setelah pemberitahuan diproses di Google SecOps SOAR, untuk menjaga status pemberitahuan tetap disinkronkan antara VMware Carbon Black Cloud dan Google SecOps SOAR, pengguna memerlukan tindakan yang akan menutup pemberitahuan VMware Carbon Black Cloud dari Google SecOps SOAR.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Dismiss VMware carbon Black Cloud Alert:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Pesan output

Di Case Wall, tindakan Dismiss VMware Carbon Black Cloud Alert memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully dismissed VMware Carbon Black Cloud alert with alert id ALERT_ID

Failed to dismiss VMware Carbon Black Cloud alert! Error is ERROR_REASON

 Tindakan berhasil.
Failed to execute Dismiss alert action! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Memperbarui Kebijakan untuk Perangkat berdasarkan ID Kebijakan

Mengubah kebijakan pada sensor VMware Carbon Black Cloud di host. Cakupan tindakan adalah entitas Alamat IP atau Host.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
ID Kebijakan Bilangan bulat Tidak berlaku Ya Tentukan kebijakan yang akan dikaitkan dengan sensor VMware Carbon Black Cloud.

Kasus penggunaan

Membuat tugas update kebijakan di server VMware Carbon Black Cloud dari Google SecOps SOAR.

Saat menganalisis pemberitahuan, petugas respons insiden melihat bahwa host yang sama menghasilkan beberapa pemberitahuan positif palsu dalam waktu singkat. Mereka dapat menggunakan tindakan ini untuk membuat tugas pembaruan kebijakan yang mengubah kebijakan sensor menjadi kurang ketat.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Update a Policy for Device by Policy ID:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Pesan output

Di Case Wall, tindakan Update a Policy for Device by Policy ID memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully changed device policy to DEVICE_POLICY for the following entities: ENTITY_ID_LIST

No tasks were created.

Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST

Action was not able assign policy DEVICE_POLICY for VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST

Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST

 Tindakan berhasil.
Failed to execute action! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Pemindaian Latar Belakang Perangkat

Buat tugas pemindaian latar belakang perangkat di server VMware Carbon Black Cloud yang didasarkan pada entitas Alamat IP atau Host.

Kasus penggunaan

Buat tugas pemindaian latar belakang untuk host menggunakan sensor VMware Carbon Black Cloud dari Google SecOps SOAR.

Saat menganalisis pemberitahuan, responder insiden melihat bahwa host mungkin telah disusupi. Petugas respons insiden dapat menggunakan tindakan ini untuk meminta pemindaian latar belakang on-demand pada host. Pemindaian ini memeriksa apakah ada file yang dapat dieksekusi yang mencurigakan lainnya di host dan sensor di host membuat pemberitahuan untuk file yang dapat dieksekusi yang mencurigakan ini.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Pemindaian Latar Belakang Perangkat:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Pesan output

Di Case Wall, tindakan Device Background Scan memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully created a background scan task for the following entities: ENTITY_ID_LIST

No tasks were created

Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST

Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST

 Tindakan berhasil.
Failed to execute action! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Mengaktifkan Mode Bypass untuk Perangkat

Aktifkan tugas mode bypass untuk perangkat di server VMware Carbon Black Cloud. Tugas ini didasarkan pada entitas Alamat IP atau Host Google SecOps SOAR.

Kasus penggunaan

Buat tugas Enable Bypass Mode di server VMware Carbon Black Cloud dari Google SecOps SOAR.

Saat menganalisis pemberitahuan terkait sensor platform atau host tertentu, petugas respons insiden melihat bahwa sensor tersebut membuat beberapa pemberitahuan positif palsu. Mereka dapat menggunakan tindakan ini untuk mengaktifkan mode bypass guna melacak peristiwa yang diproses agen jarak jauh sebagai pemberitahuan dan memperbarui kebijakan.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Aktifkan Mode Bypass untuk Perangkat:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Pesan output

Di Case Wall, tindakan Enable Bypass Mode for Device memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully created enable bypass mode task for the following entities: ENTITY_ID_LIST

No taskswere created

Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST

Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST

 Tindakan berhasil.
Failed to execute action! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Menonaktifkan Mode Bypass untuk Perangkat

Buat tugas menonaktifkan mode bypass untuk perangkat di server VMware Carbon Black Cloud. Tugas ini didasarkan pada Alamat IP atau entitas Host Google SecOps SOAR.

Kasus penggunaan

Setelah mengaktifkan mode bypass pada sensor tertentu dan memecahkan masalah konfigurasi dan kebijakan VMware Carbon Black Cloud, responder insiden memutuskan bahwa sensor Carbon Black berfungsi seperti yang diharapkan dan tidak perlu berfungsi dalam mode bypass. Mereka menjalankan tindakan Create Disable Bypass Mode Task for Device untuk membuat tugas guna menonaktifkan mode bypass di host tertentu.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Nonaktifkan Mode Bypass untuk Perangkat:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Pesan output

Di Case Wall, tindakan Disable Bypass Mode for Device memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully created disable bypass mode task for the following entities: ENTITY_ID_LIST

No tasks were created.

Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST

Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST

 Tindakan berhasil.
Failed to execute action! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Karantina Perangkat

Buat tugas perangkat karantina di server VMware Carbon Black Cloud berdasarkan entitas Alamat IP atau Host Google SecOps SOAR.

Kasus penggunaan

Respons insiden melihat bahwa host menunjukkan tanda-tanda telah disusupi dan dapat menggunakan tugas ini untuk mengarantinanya.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Karantina Perangkat:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Karantina Perangkat:

[
  {
    "Entity": "siemplify-ID",
    "EntityResult": {
      "status": "done"
    }
  }
]
Pesan output

Di Case Wall, tindakan Karantina Perangkat memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully created quarantine device task for the following entities: ENTITY_ID_LIST

No tasks were created.

Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST

Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST

 Tindakan berhasil.
Failed to execute action! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Batalkan Karantina Perangkat

Buat tugas perangkat yang tidak dikarantina di server VMware Carbon Black Cloud berdasarkan entitas Alamat IP atau Host Google SecOps SOAR.

Kasus penggunaan

Setelah menganalisis dan memulihkan pemberitahuan terkait host tertentu yang dikelola oleh VMware Carbon Black Cloud, responder insiden menemukan bahwa host tersebut tidak disusupi. Mereka menjalankan tindakan Unquarantine Device untuk membuat tugas host unquarantine di server VMware Carbon Black Cloud dan terhubung ke host.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Batalkan Karantina Perangkat:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Pesan output

Di Case Wall, tindakan Unquarantine Device memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully created quarantine device task for the following entities: ENTITY_ID_LIST

No tasks were created.

Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST

Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST

 Tindakan berhasil.
Failed to execute action! Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Gunakan tindakan ini untuk menelusuri informasi tentang proses yang disimpan di VMware Carbon Black Cloud.

Tindakan ini berjalan di entity berikut:

  • Alamat IP
  • Host
  • Pengguna
  • Hash
  • Proses
Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Mulai dari Baris Bilangan bulat 0 Tidak Tentukan baris yang akan diambil datanya.
Jumlah Baris Maksimum yang Akan Ditampilkan Bilangan bulat 50 Tidak Tentukan jumlah baris yang harus ditampilkan oleh tindakan.
Create Insight Kotak centang Tidak dipilih Tidak Jika dipilih, tindakan ini akan membuat insight SOAR Google SecOps yang didasarkan pada informasi proses dari Carbon Black Cloud.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Pengayaan entity
Kolom pengayaan Logika
IsSuspicous Tetapkan ke True jika data yang ditampilkan menyertakan kategori pemberitahuan (alert_category) yang ditetapkan ke THREAT dan daftar ID pemberitahuan (alert_ids) yang terkait dengan proses.
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Execute Entity Process Search:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Execute Entity Processes Search:

{
   "results": [
       {
           "alert_category": [
               "THREAT"
           ],
           "alert_id": [
               "19183229-384f-49a7-8ad7-87d0db243fcc",
               "4dfc6aed-656d-41d1-9568-0de349d7a8b3",
               "8eb04992-ed94-4471-8a71-fd78bad887de",
               "ac3b3b3a-f4ce-41dc-9de8-123d5a1e2572",
               "edc046a0-98f0-43eb-b3c0-a67469c11d19",
               "f365a912-1d79-421e-bccb-f57b52100be8"
           ],
           "backend_timestamp": "2021-02-02T18:38:46.520Z",
           "childproc_count": 0,
           "crossproc_count": 0,
           "device_external_ip": "161.47.37.87",
           "device_group_id": 0,
           "device_id": 3602123,
           "device_installed_by": "sadiya@acalvio.com",
           "device_internal_ip": "172.26.115.53",
           "device_location": "UNKNOWN",
           "device_name": "desktop1-win10",
           "device_os": "WINDOWS",
           "device_os_version": "Windows 10 x64",
           "device_policy": "test",
           "device_policy_id": 32064,
           "device_target_priority": "HIGH",
           "device_timestamp": "2020-08-19T16:31:20.887Z",
           "document_guid": "sF1Ug1--SEyLWljQrWe8NA",
           "event_threat_score": [
               6
           ],
           "filemod_count": 0,
           "ingress_time": 1612291119946,
           "modload_count": 0,
           "netconn_count": 0,
           "org_id": "7DESJ9GN",
           "parent_effective_reputation": "KNOWN_MALWARE",
           "parent_guid": "7DESJ9GN-0036f6cb-000026d4-00000000-1d676428bd025e2",
           "parent_hash": [
               "86deb998e6b628755a1049a54b8863d32752d6176fb1ef3b7c4ee08c1f25edbc"
           ],
           "parent_name": "c:\\windows\\system32\\windowspowershell\\v1.o\\powershell.exe",
           "parent_pid": 9940,
           "parent_reputation": "KNOWN_MALWARE",
           "process_cmdline": [
               "powershell.exe -ep bypass"
           ],
           "process_cmdline_length": [
               25
           ],
           "process_effective_reputation": "COMPANY_BLACK_LIST",
           "process_guid": "7DESJ9GN-0036f6cb-000005b8-00000000-1d676428bdf1285",
           "process_hash": [
               "908b64b1971a979c7e3e8ce4621945cba84854cb98d76367b791a6e22b5f6d53",
               "cda48fc75952ad12d99e526d0b6bf70a"
           ],
           "process_name": "c:\\windows\\system32\\windowspowershell\\v1.0\\powershell.exe",
           "process_pid": [
               1464
           ],
           "process_reputation": "COMPANY_BLACK_LIST",
           "process_sha256": "908b64b1971a979c7e3e8ce4621945cba84854cb98d76367b791a6e22b5f6d53",
           "process_start_time": "2020-08-19T16:05:24.057Z",
           "process_username": [
               "DESKTOP1-WIN10\\acalvio"
           ],
           "regmod_count": 0,
           "scriptload_count": 0,
           "watchlist_hit": [
               "BeCXz92RjiQxN1PnYlM6w:SdJksR9SsWuLCJNeBsNPw:10",
               "BeCXz92RjiQxN1PnYlM6w:s24xyq8SFapmQEMXv9yw:7",
               "BeCXz92RjiQxN1PnYlM6w:s24xyq8SFapmQEMXv9yw:8"
           ]
       }
   ],
   "num_found": 1,
   "num_available": 1,
   "approximate_unaggregated": 6,
   "num_aggregated": 6,
   "contacted": 47,
   "completed": 47
}
Pesan output

Di Case Wall, tindakan Execute Entity Processes Search memberikan pesan output berikut:

Pesan output Deskripsi pesan

Process information was found for the following entities ENTITY_ID_LIST

Process information was not found for all of the provided entities.

Action was not able to find matching VMware Carbon Black Cloud devices for the following entities: ENTITY_ID_LIST

Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST

 Tindakan berhasil.
Error executing action "Execute Entity Processes Search". Error is ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Mencantumkan Penggantian Reputasi

Gunakan tindakan ini untuk mencantumkan penggantian reputasi yang dikonfigurasi di VMware Carbon Black Cloud.

Tindakan ini tidak berjalan di entity.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Daftar Penggantian Reputasi DDL

Tidak Ditentukan

Nilai yang memungkinkan:

  • Tidak Ditentukan
  • White_List
  • Black_List
 Tidak Tentukan tindakan daftar penggantian yang harus ditampilkan.
Jenis Penggantian Reputasi DDL

Tidak Ditentukan

Nilai yang memungkinkan:

  • Tidak ditentukan
  • SERTIFIKAT SHA256
  • IT_TOOL
 Tidak Tentukan tindakan jenis penggantian yang harus ditampilkan.
Mulai dari Baris Bilangan bulat 0 Tidak Tentukan baris yang akan diambil datanya oleh tindakan.
Jumlah Baris Maksimum yang Akan Ditampilkan Bilangan bulat 50 Tidak Tentukan jumlah baris yang harus ditampilkan oleh tindakan.
Tata Urutan Baris DDL

ASC

Nilai yang memungkinkan:

  • ASC
  • DESC
 Tentukan tata urutan untuk baris yang ditampilkan. Baris diurutkan berdasarkan nilai create_time.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Tabel repositori kasus

Di Case Wall, List Reputation Overrides menyediakan tabel berikut:

  • Tabel SHA-256

    Nama tabel: Penggantian Reputasi SHA-256 yang Ditemukan

    Kolom tabel:

    • Hash SHA-256
    • Nama file
    • ID
    • Daftar Penggantian
    • Deskripsi
    • Sumber
    • Referensi Sumber
    • Waktu Pembuatan
    • Dibuat Oleh

  • Tabel CERT

    Nama tabel: Found CERT Reputation Overrides

    Kolom tabel:

    • Otoritas Sertifikat
    • Ditandatangani Oleh
    • ID
    • Daftar Penggantian
    • Deskripsi
    • Sumber
    • Referensi Sumber
    • Waktu Pembuatan
    • Dibuat Oleh

  • Tabel IT TOOL

    Nama tabel: Found IT_TOOL Reputation Overrides

    Kolom tabel:

    • Jalur Alat IT
    • Sertakan Proses Turunan
    • ID
    • Daftar Penggantian
    • Deskripsi
    • Sumber
    • Referensi Sumber
    • Waktu Pembuatan
    • Dibuat Oleh
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List Reputation Overrides:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Reputation Overrides untuk sertifikat:

{
   "num_found": 2,
   "results": [
       {
           "id": "6b040826d43a11eb85899b2a3fb7559d",
           "created_by": "user@example.com",
           "create_time": "2021-06-23T15:48:13.355Z",
           "override_list": "WHITE_LIST",
           "override_type": "CERT",
           "description": "",
           "source": "APP",
           "source_ref": null,
           "signed_by": "Example Software Corp.",
           "certificate_authority": "Symantec Class 3 SHA256 Code Signing CA"
       }
   ]
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Reputation Overrides untuk hash SHA-256:

{
   "num_found": 25,
   "results": [
       {
           "id": "0a0d2bf89d4d11ebbef6695028ab76fe",
           "created_by": "I2TK7ET355",
           "create_time": "2021-04-14T18:12:57.161Z",
           "override_list": "WHITE_LIST",
           "override_type": "SHA256",
           "description": "Test Data",
           "source": "APP",
           "source_ref": null,
           "sha256_hash": "f6a55db64b3369e7e0ce9abe8046c89ff3714c15c3174f04c10390c17af16f0e",
           "filename": null
       }
   ]
}

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Reputation Overrides untuk alat IT:

{
   "id": "067ebeeaf03311eb8bb20bf76c87cd52",
   "created_by": "HZ9PEI2E3L",
   "create_time": "2021-07-29T06:05:50.790Z",
   "override_list": "BLACK_LIST",
   "override_type": "IT_TOOL",
   "description": "An override for an IT_TOOL",
   "source": "APP",
   "source_ref": null,
   "path": "C:\\TMP\\TMP\\TMP\\foo.exe",
   "include_child_processes": false
}
Pesan output

Di Case Wall, tindakan List Reputation Overrides memberikan pesan output berikut:

Pesan output Deskripsi pesan

Reputation overrides found.

No reputation overrides found.

 Tindakan berhasil.
Error executing action "List Reputation Overrides". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Membuat Penggantian Reputasi untuk Sertifikat

Buat penggantian reputasi untuk sertifikat. Untuk mengetahui informasi selengkapnya tentang penggantian reputasi, lihat Penggantian Reputasi.

Tindakan ini tidak berjalan di entity.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Otoritas Sertifikat String Tidak berlaku Tidak Tentukan certificate authority yang mengizinkan validitas sertifikat untuk ditambahkan ke penggantian reputasi.
Ditandatangani Oleh String Ya Tentukan nama penanda tangan yang akan ditambahkan ke penggantian reputasi.
Deskripsi String Tidak berlaku Tidak Tentukan deskripsi untuk penggantian reputasi yang dibuat.
Daftar Penggantian Reputasi DDL Tidak Ditentukan Ya Tentukan daftar penggantian yang akan dibuat.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Buat Penggantian Reputasi untuk Sertifikat:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Buat Penggantian Reputasi untuk Sertifikat:

{
   "id": "fb19756cf03311eb81e9bf7658b8ce59",
   "created_by": "HZ9PEI2E3L",
   "create_time": "2021-07-29T06:12:41.168Z",
   "override_list": "WHITE_LIST",
   "override_type": "CERT",
   "description": "An override for a CERT",
   "source": "APP",
   "source_ref": null,
   "signed_by": "Test signer for override",
   "certificate_authority": "test cert ca"
}
Pesan output

Di Case Wall, tindakan Create a Reputation Override for Certificate memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully created new reputation override: OVERRIDE_ID

Action failed to create a new certificate reputation override. Reason:ERROR_REASON

 Tindakan berhasil.

Error executing action because Reputation Override List is not specified.

Error executing action "Create a Reputation Override for Certificate". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Membuat Penggantian Reputasi untuk Hash SHA-256

Buat penggantian reputasi untuk hash yang diberikan dalam format SHA-256. Untuk informasi selengkapnya tentang penggantian reputasi, lihat Penggantian Reputasi.

Tindakan ini berjalan pada entity FileHash jika disediakan.

Anda dapat memberikan hash SHA-256 sebagai entitas (artefak) FileHash Google SecOps SOAR atau sebagai parameter input tindakan. Jika hash diteruskan ke tindakan sebagai entity dan parameter input, tindakan akan dijalankan pada parameter input.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Hash SHA-256 String Tidak berlaku Tidak Tentukan nilai hash SHA-256 untuk membuat penggantian.
Nama file String Tidak berlaku Ya Tentukan nama file yang sesuai untuk ditambahkan ke penggantian reputasi.
Deskripsi String Tidak berlaku Tidak Tentukan deskripsi untuk penggantian reputasi yang dibuat.
Daftar Penggantian Reputasi DDL Tidak Ditentukan Ya Tentukan daftar penggantian yang akan dibuat.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Create a Reputation Override for SHA-256 Hash:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Create a Reputation Override for SHA-256 Hash:

{
   "id": "1ea6c923f03211eb83cf87b4dce84539",
   "created_by": "HZ9PEI2E3L",
   "create_time": "2021-07-29T05:59:21.821Z",
   "override_list": "BLACK_LIST",
   "override_type": "SHA256",
   "description": "An override for a sha256 hash",
   "source": "APP",
   "source_ref": null,
   "sha256_hash": "af62e6b3d475879c4234fe7bd8ba67ff6544ce6510131a069aaac75aa92aee7a",
   "filename": "foo.exe"
}
Pesan output

Di Case Wall, tindakan Create a Reputation Override for SHA-256 Hash memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully created reputation override for the following entities: ENTITY_ID_LIST

Action failed to to create reputation override for the following entities: ENTITY_ID_LIST + API_ERROR

No reputation overrides were created.

 Tindakan berhasil.

Error executing action because wrong hash format was provided. Action is working only with Sha-256 hashes.

Error executing action because Reputation Override List is not specified.

Error executing action "Create a Reputation Override for SHA-256 Hash". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Membuat Penggantian Reputasi untuk Alat IT

Gunakan tindakan ini untuk membuat penggantian reputasi untuk alat IT tertentu seperti Jira atau ServiceNow. Penggantian reputasi didasarkan pada nama file dan jalur. Untuk informasi selengkapnya tentang penggantian reputasi, lihat Penggantian Reputasi.

Tindakan ini berjalan di entity File jika disediakan.

Anda dapat memberikan nama file sebagai entity (artefak) File Google SecOps SOAR atau sebagai parameter input tindakan. Jika nama file diteruskan ke tindakan sebagai entity dan parameter input, tindakan akan menggunakan parameter input. Tindakan ini menambahkan nama file ke parameter File Path untuk mendapatkan jalur yang dihasilkan dan menambahkan jalur ke penggantian.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Nama File String Tidak berlaku Tidak Tentukan nama file yang sesuai untuk ditambahkan ke penggantian reputasi.
Jalur File String Tidak berlaku Ya Tentukan jalur tempat alat IT yang sesuai disimpan di disk untuk menambahkan jalur ke penggantian reputasi. Contohnya adalah sebagai berikut: C\\TMP\\.
Sertakan Proses Turunan Kotak centang Tidak dipilih Tidak Jika dipilih, sertakan proses turunan alat IT dalam daftar yang disetujui.
Deskripsi String Tidak berlaku Tidak Tentukan deskripsi untuk penggantian reputasi yang dibuat.
Daftar Penggantian Reputasi DDL Tidak Ditentukan Ya Tentukan daftar penggantian yang akan dibuat.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Create Reputation Override for IT Tool:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan Buat Penggantian Reputasi untuk Alat IT:

{
   "id": "067ebeeaf03311eb8bb20bf76c87cd52",
   "created_by": "HZ9PEI2E3L",
   "create_time": "2021-07-29T06:05:50.790Z",
   "override_list": "BLACK_LIST",
   "override_type": "IT_TOOL",
   "description": "An override for an IT_TOOL",
   "source": "APP",
   "source_ref": null,
   "path": "C:\\TMP\\TMP\\TMP\\foo.exe",
   "include_child_processes": false
}
Pesan output

Di Case Wall, tindakan Create a Reputation Override for IT Tool memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully created reputation override for the following entities: ENTITY_ID_LIST

No reputation overrides were created.

Action failed to create reputation override for the following entities: ENTITY_ID_LIST + API_ERROR

Tindakan berhasil.

Error executing action because Reputation Override List is not specified.

Error executing action "Create a Reputation Override for IT Tool". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Menghapus Penggantian Reputasi

Menghapus penggantian reputasi menggunakan ID penggantian reputasi yang diberikan. Untuk informasi selengkapnya tentang penggantian reputasi, lihat Penggantian Reputasi.

Tindakan ini tidak berjalan di entity.

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
ID Penggantian Reputasi String Tidak berlaku Ya Tentukan ID penggantian reputasi yang akan dihapus.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan Delete Reputation Override:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Pesan output

Di Repositori Kasus, tindakan Delete a Reputation Override memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully deleted reputation override OVERRIDE_ID_

No tasks were created.

Action failed to delete reputation override OVERRIDE_ID. Reason: ERROR_REASON

Multiple matches were found in VMware Carbon Black Cloud, taking first match for the following entities: ENTITY_ID_LIST

 Tindakan berhasil.
Error executing action "Delete a Reputation Override". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Mencantumkan Kerentanan Host

Gunakan tindakan ini untuk mencantumkan kerentanan yang ditemukan Carbon Black Cloud di host.

Tindakan ini berjalan di entity berikut:

  • Alamat IP
  • Hostname

Parameter

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Filter Tingkat Keparahan CSV Tidak berlaku Tidak

Tentukan daftar tingkat keparahan kerentanan yang dipisahkan koma.

Jika tidak ada yang diberikan, tindakan ini akan menyerap semua kerentanan terkait.

Nilai yang mungkin: Kritis, Penting, Sedang, Rendah.
Jumlah Kerentanan Maksimum yang Akan Ditampilkan Bilangan bulat 100 Tidak

Tentukan jumlah kerentanan yang akan ditampilkan untuk setiap host.

Jika tidak ada yang diberikan, tindakan akan memproses semua kerentanan terkait.

Output tindakan

Tindakan ini memberikan output berikut:

Jenis output tindakan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Pengayaan entity Tidak tersedia
Hasil skrip Tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip

Tabel berikut menjelaskan nilai untuk output hasil skrip saat menggunakan tindakan List Host Vulnerabilities:

Nama Hasil Skrip Opsi Nilai Contoh
is_success Benar atau Salah is_success:False
Hasil JSON

Contoh berikut menjelaskan output hasil JSON yang diterima saat menggunakan tindakan List Host Vulnerabilities:

{
    "statistics": {
        "total": 123,
        "severity": {
            "critical": 1,
            "high": 1,
            "moderate": 1,
            "low": 1
        }
    },
    "details": [
        {
            "os_product_id": "161_0",
            "category": "OS",
            "os_info": {
                "os_type": "WINDOWS",
                "os_name": "Microsoft Windows 10 Enterprise",
                "os_version": "10.0.10240",
                "os_arch": "64-bit"
            },
            "product_info": {
                "vendor": null,
                "product": null,
                "version": null,
                "release": null,
                "arch": null
            },
            "vuln_info": {
                "cve_id": "CVE-2015-2534",
                "cve_description": "Hyper-V in Microsoft Windows 8.1, Windows Server 2012 R2, and Windows 10 improperly processes ACL settings, which allows local users to bypass intended network-traffic restrictions via a crafted application, aka \"Hyper-V Security Feature Bypass Vulnerability.\"",
                "risk_meter_score": 0.9,
                "severity": "LOW",
                "fixed_by": "KB3091287",
                "solution": null,
                "created_at": "2015-09-09T00:59:00Z",
                "nvd_link": "http://example",
                "cvss_access_complexity": null,
                "cvss_access_vector": null,
                "cvss_authentication": null,
                "cvss_availability_impact": null,
                "cvss_confidentiality_impact": null,
                "cvss_integrity_impact": null,
                "easily_exploitable": null,
                "malware_exploitable": null,
                "active_internet_breach": null,
                "cvss_exploit_subscore": null,
                "cvss_impact_subscore": null,
                "cvss_vector": null,
                "cvss_v3_exploit_subscore": null,
                "cvss_v3_impact_subscore": null,
                "cvss_v3_vector": null,
                "cvss_score": null,
                "cvss_v3_score": null
            },
            "device_count": 1,
            "affected_assets": null
        },
        {
            "os_product_id": "161_0",
            "category": "OS",
            "os_info": {
                "os_type": "WINDOWS",
                "os_name": "Microsoft Windows 10 Enterprise",
                "os_version": "10.0.10240",
                "os_arch": "64-bit"
            },
            "product_info": {
                "vendor": null,
                "product": null,
                "version": null,
                "release": null,
                "arch": null
            },
            "vuln_info": {
                "cve_id": "CVE-2017-8554",
                "cve_description": "The kernel in Microsoft Windows 7 SP1, Windows Server 2008 SP2 and R2 SP1, Windows 8.1 and Windows RT 8.1, Windows Server 2012 and R2, Windows 10 Gold, 1511, 1607, and 1703, and Windows Server 2016 allows an authenticated attacker to obtain memory contents via a specially crafted application.",
                "risk_meter_score": 0.9,
                "severity": "LOW",
                "fixed_by": "KB5016639",
                "solution": null,
                "created_at": "2017-06-29T13:29:00Z",
                "nvd_link": "http://example",
                "cvss_access_complexity": null,
                "cvss_access_vector": null,
                "cvss_authentication": null,
                "cvss_availability_impact": null,
                "cvss_confidentiality_impact": null,
                "cvss_integrity_impact": null,
                "easily_exploitable": null,
                "malware_exploitable": null,
                "active_internet_breach": null,
                "cvss_exploit_subscore": null,
                "cvss_impact_subscore": null,
                "cvss_vector": null,
                "cvss_v3_exploit_subscore": null,
                "cvss_v3_impact_subscore": null,
                "cvss_v3_vector": null,
                "cvss_score": null,
                "cvss_v3_score": null
            },
            "device_count": 1,
            "affected_assets": null
        }
    ]
}
Pesan output

Di Case Wall, tindakan List Host Vulnerabilities memberikan pesan output berikut:

Pesan output Deskripsi pesan

Successfully retrieved vulnerabilities for the following hosts: ENTITIES

No vulnerabilities were found.

No vulnerabilities were found for the following hosts: ENTITIES

 Tindakan berhasil.

Error executing action "List Host Vulnerabilities". Reason: ERROR_REASON

Error executing action "List Host Vulnerabilities". Reason: Invalid value provided in the "Severity Filter parameter. Possible values: Critical, High, Medium, Low, Unknown.

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Konektor

Konektor berikut tersedia untuk digunakan dalam integrasi VMware Carbon Black Cloud:

  1. Alert Connector, tidak digunakan lagi. Solusi ini menggunakan data pemberitahuan Carbon Black yang sama untuk pemberitahuan dan peristiwa Google SecOps SOAR, sehingga melewatkan data peristiwa Carbon Black sepenuhnya. Sebagai gantinya, gunakan konektor Dasar pengukuran atau konektor Pelacakan.

  2. Baseline Connector mengambil pemberitahuan dan peristiwa dari Carbon Black. Konektor ini tidak memantau apakah peristiwa baru ditambahkan ke pemberitahuan Carbon Black.

  3. Tracking Connector mengambil pemberitahuan dan peristiwa dari Carbon Black serta memantau apakah peristiwa baru ditambahkan ke pemberitahuan yang sudah diserap. Jika peristiwa baru muncul di pemberitahuan CB, konektor akan membuat pemberitahuan SOAR Google SecOps baru dengan peristiwa yang ditambahkan ke pemberitahuan Carbon Black.

Untuk mengetahui petunjuk cara mengonfigurasi konektor di Google SecOps SOAR, lihat Mengonfigurasi konektor.

VMware Carbon Black Cloud Alerts Connector — Tidak digunakan lagi

Dapatkan pemberitahuan dari VMware Carbon Black Cloud sebagai pemberitahuan Google SecOps SOAR untuk analisis di platform Google SecOps SOAR.

Ringkasan konektor

Konektor secara berkala terhubung ke endpoint VMware Carbon Black Cloud API dan mengambil daftar pemberitahuan yang dihasilkan selama jangka waktu tertentu. Jika ada pemberitahuan baru, konektor akan membuat pemberitahuan Google SecOps SOAR berdasarkan pemberitahuan Carbon Black Cloud dan menyimpan stempel waktu konektor sebagai waktu pemberitahuan terakhir yang berhasil diserap. Selama eksekusi konektor berikutnya, konektor akan mengkueri Carbon Black API hanya untuk pemberitahuan yang dibuat setelah stempel waktu.

Konektor memeriksa pemberitahuan duplikat (dikenal sebagai pemberitahuan yang ditandai sebagai overflow) dan tidak membuat pemberitahuan Google SecOps SOAR dari pemberitahuan duplikat.

Mode Pengujian: Konektor memiliki mode pengujian untuk tujuan proses debug dan pemecahan masalah. Dalam mode pengujian, konektor melakukan hal berikut:

  • Tidak memperbarui stempel waktu operasi terakhir.
  • Mengambil pemberitahuan berdasarkan jumlah jam yang ditentukan untuk menarik pemberitahuan.
  • Menampilkan satu pemberitahuan untuk penyerapan.

Komunikasi Terenkripsi: Konektor mendukung komunikasi terenkripsi (SSL atau TLS).

Dukungan proxy: Konektor mendukung koneksi ke endpoint API menggunakan proxy untuk traffic HTTPS.

Dukungan Unicode: Konektor mendukung encoding Unicode untuk pemberitahuan yang diproses.

Izin API

Konektor Carbon Black Cloud menggunakan kredensial API yang sama dengan integrasi Carbon Black Cloud. Untuk mengetahui detail selengkapnya tentang konfigurasi API untuk Carbon Black Cloud, lihat bagian Prasyarat.

Parameter konektor

Untuk mengonfigurasi atau mengedit parameter konektor, Anda harus disertakan dalam grup izin Administrator di Google SecOps. Untuk mengetahui detail selengkapnya tentang grup izin untuk pengguna, lihat Menggunakan grup izin.

Gunakan parameter berikut untuk mengonfigurasi konektor:

Parameter Jenis Nilai default Wajib Deskripsi
Lingkungan DDL Tidak berlaku Ya

Pilih lingkungan yang diperlukan. Misalnya, "Pelanggan Satu".

Jika kolom Environment pemberitahuan kosong, pemberitahuan akan dimasukkan ke lingkungan ini.
Jalankan Setiap Bilangan bulat 0:0:0:10 Tidak Pilih waktu untuk menjalankan koneksi.
Nama Kolom Produk String ProductName Ya Nama kolom tempat nama produk disimpan.
Nama Kolom Peristiwa String AlertName Ya Nama kolom tempat nama peristiwa disimpan.
ID Class Peristiwa String AlertName Tidak Nama kolom yang digunakan untuk menentukan nama peristiwa (subjenis).
Waktu Tunggu Proses Python String 180 Ya Batas waktu tunggu (dalam detik) untuk proses Python yang menjalankan skrip saat ini.
Nama Kolom Lingkungan String "" Tidak

Nama kolom tempat nama lingkungan disimpan.

Jika kolom environment tidak ditemukan, environment-nya adalah "".

Pola Regex Lingkungan String .* Tidak

Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler.

Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan.

Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah "".
Root API String Tidak berlaku Ya URL Root VMware Carbon Black Cloud API.
Kunci Organisasi String T/A Ya Kunci organisasi VMware Carbon Black Cloud.
ID API String T/A Ya ID API VMware Carbon Black Cloud (ID kunci API kustom).
Kunci Rahasia API String T/A Ya Kunci rahasia VMware Carbon Black Cloud API (kunci rahasia API kustom).
Waktu offset dalam jam Bilangan bulat 24 Ya Jumlah jam untuk mengambil pemberitahuan.
Pemberitahuan Maksimum Per Siklus Bilangan bulat 10 Ya Jumlah pemberitahuan yang akan diproses dalam satu operasi konektor.
Tingkat Keparahan Minimum yang akan Diambil Bilangan bulat T/A Tidak Tingkat keparahan minimum pemberitahuan Carbon Black Cloud yang akan diserap ke Google SecOps SOAR.
Kolom Pemberitahuan yang akan digunakan untuk kolom Nama String jenis Ya Kolom pemberitahuan Carbon Black Cloud yang akan digunakan untuk kolom Nama Pemberitahuan SOAR Google SecOps. Nilai yang mungkin adalah type dan policy_name.
Kolom Pemberitahuan yang akan digunakan untuk Generator Aturan String jenis Ya Kolom pemberitahuan Carbon Black Cloud yang akan digunakan untuk kolom Generator Aturan Pemberitahuan SOAR Google SecOps. Nilai yang mungkin adalah type, category, dan policy_name.
Alamat Server Proxy IP_OR_HOST Tidak berlaku Tidak Server proxy yang akan digunakan untuk koneksi.
Nama Pengguna Server Proxy String Tidak berlaku Tidak Nama pengguna server proxy.
Sandi Server Proxy Sandi Tidak berlaku Tidak Sandi server proxy.

Aturan konektor

  • Konektor mendukung penggunaan proxy.

VMware Carbon Black Cloud Alerts and Events Baseline Connector

Ringkasan

Gunakan VMware Carbon Black Cloud Baseline Connector untuk menyerap pemberitahuan Carbon Black Cloud dan peristiwa terkait untuk pemberitahuan. Setelah menyerap pemberitahuan, Google SecOps akan menandainya sebagai diproses dan tidak mengambil update apa pun untuk pemberitahuan tersebut. Untuk mengambil pembaruan pemberitahuan, gunakan Konektor pelacakan.

Menyesuaikan kolom Alert Name dan Rule Generator di Google SecOps

Konektor ini menyediakan opsi untuk menyesuaikan nilai kolom Alert Name dan Rule Generator Google SecOps SOAR menggunakan template. Untuk template, konektor mendapatkan data dari data pemberitahuan Carbon Black Cloud yang ditampilkan dari API.

Berikut adalah contoh data pemberitahuan Carbon Black Cloud yang ditampilkan dari API. Data pemberitahuan merujuk ke kolom yang tersedia dalam pemberitahuan dan dapat digunakan untuk template:

{
            "id": "aa751d91-6623-1a6b-8b4a-************",
            "legacy_alert_id": "aa751d91-6623-1a6b-8b4a-************",
            "org_key": "7DE****",
            "create_time": "2022-03-22T18:12:48.593Z",
            "last_update_time": "2022-03-22T18:13:12.504Z",
            "first_event_time": "2022-03-22T15:16:01.015Z",
            "last_event_time": "2022-03-22T15:45:25.316Z",
            "threat_id": "31c53f050ca571be0af1b29f2d06****",
            "severity": 5,
            "category": "THREAT",
            "device_id": 131****,
            "device_os": "WINDOWS",
            "device_os_version": "Windows 10 x64",
            "device_name": "**********",
            "device_username": "Administrator",
            "policy_name": "default",
            "target_value": "MEDIUM",
            "workflow": {
                "state": "OPEN",
                "remediation": null,
                "last_update_time": "2022-03-22T18:12:48.593Z",
                "comment": null,
                "changed_by": "Carbon Black"
            },
            "notes_present": false,
            "tags": null,
            "policy_id": 6525,
            "reason": "The application windowsazureguestagent.exe invoked another application (arp.exe).",
            "reason_code": "T_RUN_ANY",
            "process_name": "waappagent.exe",
            "device_location": "OFFSITE",
            "created_by_event_id": "a44e00b5aa0b11ec9973f78f4c******",
            "threat_indicators": [
                {
                    "process_name": "waappagent.exe",
                    "sha256": "a5664303e573266e0f9e5fb443609a7eb272f64680c38d78bce110384b37faca",
                    "ttps": [
                        "ATTEMPTED_CLIENT",
                        "COMPANY_BLACKLIST",
                        "MITRE_T1082_SYS_INF_DISCOVERY",
                        "MITRE_T1106_NATIVE_API",
                        "MITRE_T1571_NON_STD_PORT",
                        "NON_STANDARD_PORT",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                },
                {
                    "process_name": "services.exe",
                    "sha256": "dfbea9e8c316d9bc118b454b0c722cd674c30d0a256340200e2c3a7480cba674",
                    "ttps": [
                        "RUN_BLACKLIST_APP"
                    ]
                },
                {
                    "process_name": "svchost.exe",
                    "sha256": "f3feb95e7bcfb0766a694d93fca29eda7e2ca977c2395b4be75242814eb6d881",
                    "ttps": [
                        "COMPANY_BLACKLIST",
                        "MODIFY_MEMORY_PROTECTION",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                },
                {
                    "process_name": "windowsazureguestagent.exe",
                    "sha256": "9a9f62a1c153bdb7bbe8301c6d4f1abfad6035cfe7b6c1366e3e0925de6387c3",
                    "ttps": [
                        "ATTEMPTED_CLIENT",
                        "COMPANY_BLACKLIST",
                        "MITRE_T1082_SYS_INF_DISCOVERY",
                        "MITRE_T1106_NATIVE_API",
                        "MITRE_T1571_NON_STD_PORT",
                        "NON_STANDARD_PORT",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                }
            ],
            "threat_activity_dlp": "NOT_ATTEMPTED",
            "threat_activity_phish": "NOT_ATTEMPTED",
            "threat_activity_c2": "NOT_ATTEMPTED",
            "threat_cause_actor_sha256": "9a9f62a1c153bdb7bbe8301c6d4f1abfad6035cfe7b6c1366e3e0925de6387c3",
            "threat_cause_actor_name": "windowsazureguestagent.exe",
            "threat_cause_actor_process_pid": "3504-132914439190103761-0",
            "threat_cause_process_guid": "7DESJ9GN-004fd50b-00000db0-00000000-1d834fa6d7246d1",
            "threat_cause_parent_guid": null,
            "threat_cause_reputation": "TRUSTED_WHITE_LIST",
            "threat_cause_threat_category": null,
            "threat_cause_vector": "UNKNOWN",
            "threat_cause_cause_event_id": "a74fa7a3aa0b11ec9b401dea771569d9",
            "blocked_threat_category": "UNKNOWN",
            "not_blocked_threat_category": "NON_MALWARE",
            "kill_chain_status": [
                "INSTALL_RUN"
            ],
            "sensor_action": null,
            "run_state": "RAN",
            "policy_applied": "NOT_APPLIED",
            "type": "CB_ANALYTICS",
            "alert_classification": null
        }

Parameter konektor

Untuk mengonfigurasi atau mengedit parameter konektor, Anda harus disertakan dalam grup izin Administrator di Google SecOps. Untuk mengetahui detail selengkapnya tentang grup izin untuk pengguna, lihat Menggunakan grup izin.

Gunakan parameter berikut untuk mengonfigurasi konektor:

Nama Tampilan Parameter Jenis Nilai Default Wajib Diisi Deskripsi
Nama Kolom Produk String ProductName Ya Nama kolom tempat nama produk disimpan.
Nama Kolom Peristiwa String AlertName Ya Nama kolom tempat nama peristiwa disimpan.
Nama Kolom Lingkungan String "" Tidak

Nama kolom tempat nama lingkungan disimpan.

Jika kolom environment tidak ditemukan, environment-nya adalah "".
Pola Regex Lingkungan String .* Tidak

Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler.

Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan.

Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah "".
Root API String https://defense.conferdeploy.net Ya URL root VMware Carbon Black Cloud API.
Kunci Organisasi String Tidak berlaku Ya Kunci organisasi VMware Carbon Black Cloud. Misalnya, 7DDDD9DD.
ID API String Tidak berlaku Ya ID API VMware Carbon Black Cloud (ID kunci API kustom).
Kunci Rahasia API String Tidak berlaku Ya Kunci rahasia VMware Carbon Black Cloud API (kunci rahasia API kustom).
Waktu offset dalam jam Bilangan bulat 24 Ya Jumlah jam untuk mengambil pemberitahuan.
Pemberitahuan Maksimum Per Siklus Bilangan bulat 10 Ya Jumlah pemberitahuan yang akan diproses dalam satu operasi konektor.
Tingkat Keparahan Minimum yang akan Diambil Bilangan bulat T/A Tidak Tingkat keparahan minimum pemberitahuan Carbon Black Cloud yang akan diserap ke Google SecOps SOAR. Misalnya, 4 atau 7.
Kolom Pemberitahuan yang akan digunakan untuk kolom Nama String jenis Ya Kolom pemberitahuan Carbon Black Cloud yang akan digunakan untuk kolom Nama Pemberitahuan SOAR Google SecOps. Nilai yang mungkin adalah type dan policy_name.
Kolom Pemberitahuan yang akan digunakan untuk Generator Aturan String jenis Ya Kolom pemberitahuan Carbon Black Cloud yang akan digunakan untuk kolom Generator Aturan Pemberitahuan SOAR Google SecOps. Nilai yang mungkin adalah type, category, dan policy_name.
Reputasi Pemberitahuan yang akan Diserap String Tidak berlaku Tidak Reputasi Carbon Black Cloud dari pemberitahuan yang akan diserap. Parameter ini menerima beberapa nilai sebagai string yang dipisahkan koma.
Batas Peristiwa yang akan Diserap per Pemberitahuan Bilangan bulat 25 Ya Jumlah peristiwa yang akan diserap ke dalam setiap pemberitahuan Carbon Black Cloud.
Alamat Server Proxy IP_OR_HOST Tidak berlaku Tidak Server proxy yang akan digunakan untuk koneksi.
Nama Pengguna Server Proxy String Tidak berlaku Tidak Nama pengguna server proxy.
Sandi Server Proxy Sandi Tidak berlaku Tidak Sandi server proxy.
Template Nama Pemberitahuan String Tidak berlaku Tidak

Jika ditentukan, konektor akan menggunakan nilai ini dari data pemberitahuan respons API Carbon Black Cloud untuk mengisi kolom Alert Name.

Anda dapat memberikan placeholder dalam format berikut: [nama kolom].

Contoh: Pemberitahuan - [alasan].

Panjang maksimum untuk kolom ini adalah 256 karakter. Jika tidak ada yang diberikan atau Anda memberikan template yang tidak valid, konektor akan menggunakan nama pemberitahuan default.
Template Pembuat Aturan String T/A Tidak

Jika ditentukan, konektor akan menggunakan nilai ini dari data pemberitahuan respons API Carbon Black Cloud untuk mengisi kolom Rule Generator.

Anda dapat memberikan placeholder dalam format berikut: [nama kolom].

Contoh: Pemberitahuan - [alasan].

Panjang maksimum untuk kolom ini adalah 256 karakter. Jika tidak ada yang diberikan atau Anda memberikan template yang tidak valid, konektor akan menggunakan nilai generator aturan default.

Aturan konektor

  • Konektor mendukung penggunaan proxy.

VMware Carbon Black Cloud Alerts and Events Tracking Connector

Ringkasan

Gunakan konektor VMware Carbon Black Cloud Tracking untuk mengambil pemberitahuan Carbon Black Cloud dan peristiwa terkait. Jika konektor mendeteksi peristiwa baru untuk pemberitahuan Carbon Black Cloud yang sudah diproses, konektor akan membuat pemberitahuan Google SecOps SOAR tambahan untuk setiap peristiwa baru yang terdeteksi.

Menyesuaikan kolom Alert Name dan Rule Generator di Google SecOps

Konektor ini menyediakan opsi untuk menyesuaikan nilai kolom Alert Name dan Rule Generator Google SecOps SOAR melalui template. Untuk template, konektor mendapatkan data dari data pemberitahuan Carbon Black Cloud yang ditampilkan oleh API.

Berikut adalah contoh data pemberitahuan Carbon Black Cloud yang ditampilkan dari API. Data pemberitahuan merujuk ke kolom yang tersedia dalam pemberitahuan dan dapat digunakan untuk template:

{
            "id": "aa751d91-6623-1a6b-8b4a-************",
            "legacy_alert_id": "aa751d91-6623-1a6b-8b4a-************",
            "org_key": "7DE****",
            "create_time": "2022-03-22T18:12:48.593Z",
            "last_update_time": "2022-03-22T18:13:12.504Z",
            "first_event_time": "2022-03-22T15:16:01.015Z",
            "last_event_time": "2022-03-22T15:45:25.316Z",
            "threat_id": "31c53f050ca571be0af1b29f2d06****",
            "severity": 5,
            "category": "THREAT",
            "device_id": 131****,
            "device_os": "WINDOWS",
            "device_os_version": "Windows 10 x64",
            "device_name": "**********",
            "device_username": "Administrator",
            "policy_name": "default",
            "target_value": "MEDIUM",
            "workflow": {
                "state": "OPEN",
                "remediation": null,
                "last_update_time": "2022-03-22T18:12:48.593Z",
                "comment": null,
                "changed_by": "Carbon Black"
            },
            "notes_present": false,
            "tags": null,
            "policy_id": 6525,
            "reason": "The application windowsazureguestagent.exe invoked another application (arp.exe).",
            "reason_code": "T_RUN_ANY",
            "process_name": "waappagent.exe",
            "device_location": "OFFSITE",
            "created_by_event_id": "a44e00b5aa0b11ec9973f78f4c******",
            "threat_indicators": [
                {
                    "process_name": "waappagent.exe",
                    "sha256": "a5664303e573266e0f9e5fb443609a7eb272f64680c38d78bce110384b37faca",
                    "ttps": [
                        "ATTEMPTED_CLIENT",
                        "COMPANY_BLACKLIST",
                        "MITRE_T1082_SYS_INF_DISCOVERY",
                        "MITRE_T1106_NATIVE_API",
                        "MITRE_T1571_NON_STD_PORT",
                        "NON_STANDARD_PORT",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                },
                {
                    "process_name": "services.exe",
                    "sha256": "dfbea9e8c316d9bc118b454b0c722cd674c30d0a256340200e2c3a7480cba674",
                    "ttps": [
                        "RUN_BLACKLIST_APP"
                    ]
                },
                {
                    "process_name": "svchost.exe",
                    "sha256": "f3feb95e7bcfb0766a694d93fca29eda7e2ca977c2395b4be75242814eb6d881",
                    "ttps": [
                        "COMPANY_BLACKLIST",
                        "MODIFY_MEMORY_PROTECTION",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                },
                {
                    "process_name": "windowsazureguestagent.exe",
                    "sha256": "9a9f62a1c153bdb7bbe8301c6d4f1abfad6035cfe7b6c1366e3e0925de6387c3",
                    "ttps": [
                        "ATTEMPTED_CLIENT",
                        "COMPANY_BLACKLIST",
                        "MITRE_T1082_SYS_INF_DISCOVERY",
                        "MITRE_T1106_NATIVE_API",
                        "MITRE_T1571_NON_STD_PORT",
                        "NON_STANDARD_PORT",
                        "RUN_ANOTHER_APP",
                        "RUN_SYSTEM_APP"
                    ]
                }
            ],
            "threat_activity_dlp": "NOT_ATTEMPTED",
            "threat_activity_phish": "NOT_ATTEMPTED",
            "threat_activity_c2": "NOT_ATTEMPTED",
            "threat_cause_actor_sha256": "9a9f62a1c153bdb7bbe8301c6d4f1abfad6035cfe7b6c1366e3e0925de6387c3",
            "threat_cause_actor_name": "windowsazureguestagent.exe",
            "threat_cause_actor_process_pid": "3504-132914439190103761-0",
            "threat_cause_process_guid": "7DESJ9GN-004fd50b-00000db0-00000000-1d834fa6d7246d1",
            "threat_cause_parent_guid": null,
            "threat_cause_reputation": "TRUSTED_WHITE_LIST",
            "threat_cause_threat_category": null,
            "threat_cause_vector": "UNKNOWN",
            "threat_cause_cause_event_id": "a74fa7a3aa0b11ec9b401dea771569d9",
            "blocked_threat_category": "UNKNOWN",
            "not_blocked_threat_category": "NON_MALWARE",
            "kill_chain_status": [
                "INSTALL_RUN"
            ],
            "sensor_action": null,
            "run_state": "RAN",
            "policy_applied": "NOT_APPLIED",
            "type": "CB_ANALYTICS",
            "alert_classification": null
        }

Parameter konektor

Untuk mengonfigurasi atau mengedit parameter konektor, Anda harus disertakan dalam grup izin Administrator di Google SecOps. Untuk mengetahui detail selengkapnya tentang grup izin untuk pengguna, lihat Menggunakan grup izin.

Gunakan parameter berikut untuk mengonfigurasi konektor:

Parameter Jenis Nilai default Wajib Deskripsi
Nama Kolom Produk String ProductName Ya Nama kolom tempat nama produk disimpan.
Nama Kolom Peristiwa String AlertName Ya Nama kolom tempat nama peristiwa disimpan.
Nama Kolom Lingkungan String "" Tidak

Nama kolom tempat nama lingkungan disimpan.

Jika kolom environment tidak ditemukan, environment-nya adalah "".
Pola Regex Lingkungan String .* Tidak

Pola ekspresi reguler yang akan dijalankan pada nilai yang ditemukan di kolom Environment Field Name. Parameter ini memungkinkan Anda memanipulasi kolom lingkungan menggunakan logika ekspresi reguler.

Gunakan nilai default .* untuk mengambil nilai Environment Field Name mentah yang diperlukan.

Jika pola ekspresi reguler null atau kosong, atau nilai lingkungan null, hasil lingkungan akhir adalah "".
Root API String https://defense.conferdeploy.net Ya URL root VMware Carbon Black Cloud API.
Kunci Organisasi String Tidak berlaku Ya Kunci organisasi VMware Carbon Black Cloud. Misalnya, 7DDDD9DD.
ID API String Tidak berlaku Ya ID API VMware Carbon Black Cloud (ID kunci API kustom).
Kunci Rahasia API String T/A Ya Kunci rahasia VMware Carbon Black Cloud API (kunci rahasia API kustom).
Waktu offset dalam jam Bilangan bulat 24 Ya Jumlah jam untuk mengambil pemberitahuan.
Pemberitahuan Maksimum Per Siklus Bilangan bulat 10 Ya Jumlah pemberitahuan yang akan diproses dalam satu operasi konektor.
Tingkat Keparahan Minimum yang akan Diambil Bilangan bulat Tidak berlaku Tidak Tingkat keparahan minimum pemberitahuan Carbon Black Cloud yang akan diserap ke Google SecOps SOAR. Misalnya, 4 atau 7.
Kolom Pemberitahuan yang akan digunakan untuk kolom Nama String jenis Ya Kolom pemberitahuan Carbon Black Cloud yang akan digunakan untuk kolom Nama Pemberitahuan SOAR Google SecOps. Nilai yang mungkin adalah: type dan policy_name.
Kolom Pemberitahuan yang akan digunakan untuk Generator Aturan String jenis Ya Kolom pemberitahuan Carbon Black Cloud yang akan digunakan untuk kolom Generator Aturan Pemberitahuan SOAR Google SecOps. Nilai yang mungkin adalah type, category, dan policy_name.
Reputasi Pemberitahuan yang akan Diserap String Tidak berlaku Tidak Pemberitahuan reputasi Cloud Alerting Carbon Black yang akan diserap. Parameter ini menerima beberapa nilai sebagai string yang dipisahkan koma.
Periode Pengisian Peristiwa (jam) Bilangan bulat 24 Ya Jumlah jam untuk mengambil peristiwa notifikasi.
Batas Peristiwa yang akan Diserap per Pemberitahuan Bilangan bulat 25 Ya Jumlah peristiwa yang akan diserap dalam satu pemberitahuan Carbon Black Cloud untuk setiap iterasi konektor.
Alamat Server Proxy IP_OR_HOST Tidak berlaku Tidak Server proxy yang akan digunakan untuk koneksi.
Nama Pengguna Server Proxy String Tidak berlaku Tidak Nama pengguna server proxy.
Sandi Server Proxy Sandi Tidak berlaku Tidak Sandi server proxy.
Template Nama Pemberitahuan String Tidak berlaku Tidak

Jika ditentukan, konektor akan menggunakan nilai ini dari data pemberitahuan respons API Carbon Black Cloud untuk mengisi kolom Alert Name.

Anda dapat memberikan placeholder dalam format berikut: [nama kolom].

Contoh: Pemberitahuan - [alasan].

Panjang maksimum untuk kolom ini adalah 256 karakter. Jika tidak ada yang diberikan atau Anda memberikan template yang tidak valid, konektor akan menggunakan nilai nama pemberitahuan default.
Template Pembuat Aturan String Tidak berlaku Tidak

Jika ditentukan, konektor akan menggunakan nilai ini dari data pemberitahuan respons API Carbon Black Cloud untuk mengisi kolom Rule Generator.

Anda dapat memberikan placeholder dalam format berikut: [nama kolom].

Contoh: Aturan - [alasan].

Panjang maksimum untuk kolom ini adalah 256 karakter. Jika tidak ada yang diberikan atau Anda memberikan template yang tidak valid, konektor akan menggunakan nilai generator aturan default.
Batas Total Peristiwa per Pemberitahuan Bilangan bulat 100 Tidak

Total jumlah peristiwa yang diambil konektor untuk setiap pemberitahuan Carbon Black Cloud.

Jika batas ini tercapai, konektor tidak akan mengambil peristiwa baru untuk pemberitahuan.

Agar tidak membatasi jumlah total peristiwa untuk setiap pemberitahuan, kosongkan nilai parameter ini.

Aturan konektor

  • Konektor mendukung penggunaan proxy.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.